MODÈLE NON SIGNÉ — AUTORISATION ET CADRAGE D’UNE REVUE DE SÉCURITÉ
Version du 7 novembre 2026. À adapter et faire valider avant utilisation.
Ce document vierge n’autorise aucun test et n’atteste d’aucune mission passée.

1. Parties et capacité à autoriser
Client : [raison sociale, SIREN, adresse]
Représentant habilité : [nom, fonction, coordonnées professionnelles]
Prestataire : INOBIC, SIREN 100546175
Intervenants habilités : [noms et rôles]
Le signataire précise son pouvoir d’autoriser les vérifications. Les autorisations
des propriétaires et prestataires tiers concernés sont jointes si nécessaires.

2. Objectif et périmètre positif
Objectif métier : [à définir]
Dépôts, branches/commits : [liste exhaustive]
Applications, API, hôtes, abonnements, tenants et identifiants de ressources : [liste]
Environnements : [laboratoire / recette / production, expressément désignés]
Données de test : [jeu synthétique ou modalités approuvées]
Éléments exclus : [liste explicite]
Toute extension nécessite un accord écrit complémentaire.

3. Méthodes et limites
Revues autorisées : [code / configuration / dépendances / identités / pipeline]
Tests actifs autorisés : [cas précis, comptes, volumes, plages horaires]
Aucun test actif n’est autorisé par une simple mention « audit ».
Sont exclus sauf accord distinct explicite : déni de service, destruction ou
modification de données, ingénierie sociale, persistance, extraction massive,
mouvement vers un système tiers et contournement des limites convenues.
Les conditions des hébergeurs et les droits des tiers restent applicables.

4. Fenêtre, coordination et arrêt
Début et fin avec fuseau : [à compléter]
Contacts opérationnels et d’urgence : [à compléter]
Seuils d’arrêt : [instabilité, donnée imprévue, dépassement du périmètre…]
Procédure : suspendre, informer le contact convenu, documenter et attendre
l’accord de reprise. Le client peut révoquer l’autorisation.

5. Accès et secrets
Comptes nominatifs, permissions et durée : [à définir]
MFA et lecture seule lorsque disponibles et suffisants.
Canal de remise des accès : [canal approuvé, aucun secret dans ce document]
Responsable et date de révocation : [à compléter]

6. Confidentialité et traitement des informations
Catégories nécessaires, destinataires et lieux de stockage : [à définir]
Canaux approuvés de transfert et mesures de protection : [à définir]
Minimisation et expurgation des preuves ; pas de données de production inutiles.
Outils externes ou IA et données autorisées : [liste et accord préalable]
Sous-traitants éventuels et obligations applicables : [à définir]
Durée de conservation, restitution/suppression et attestation : [à définir]
La publication de résultats ou références nécessite un accord écrit distinct.

7. Livrables et remédiation
Rapport, classification des risques et limites : [à préciser]
Correction de code/configuration : [incluse ou proposition séparée]
Validation, revue de code, déploiement et retour arrière : [responsabilités]
Contre-vérification : [périmètre et critères]
Un audit ne garantit pas l’absence de vulnérabilités hors du périmètre vérifié.

8. Approbation
Annexes : [périmètre détaillé, droits tiers, règles d’engagement, contrat]
Pour le client : [nom, fonction, date, signature]
Pour INOBIC : [nom, fonction, date, signature]
Aucune signature n’a été apposée à ce modèle.